Selon la loi, le registre des traitements constitue un pilier de la conformité lpd. Il ne se limite pas à un simple tableau rempli une seule fois. Pour une entreprise, le risque principal réside dans un registre incohérent qui contredirait vos contrats ou vos pratiques. Un registre adéquat reflète votre fonctionnement réel et doit pouvoir être expliqué facilement.

1. Votre entreprise doit elle tenir un registre des traitements

En pratique, une grande majorité des entreprises en Suisse romande a tout intérêt à documenter ses traitements. Cela se justifie dès lors que vous gérez des données de clients, de prospects ou d'employés et que vous faites appel à des prestataires externes comme un hébergeur ou une solution d'envoi d'emails.

La législation suisse prévoit certaines exceptions où l'obligation peut être allégée. Cette souplesse dépend de votre domaine d'activité, de la nature des données et des risques encourus. Si vous traitez des données sensibles ou si vos traitements sont réguliers, tenir un registre détaillé devient une mesure de base pour attester de votre conformité.

2. A quoi ressemble un registre conforme

Un registre solide répond à deux interrogations principales. Vous devez savoir ce que vous faites avec les données et vous devez pouvoir le prouver avec des éléments concrets.

Pour être efficace lors d'un contrôle ou lors d'une demande d'accès d'un client, un registre pertinent inclut généralement les éléments suivants.

• Le traitement identifié par un nom explicite (par exemple la gestion des prospects).
• Les finalités décrites simplement et sans termes équivoques.
• Les catégories de données (coordonnées, historique d'achats, données des ressources humaines).
• Les catégories de personnes concernées (clients, prospects, collaborateurs).
• Les destinataires et les accès (les personnes autorisées en interne et les intervenants externes).
• Les prestataires et sous traitants (la description doit correspondre à vos contrats actuels).
• Les transferts à l'étranger si vos logiciels hébergent des données hors de Suisse.
• Les durées de conservation (définies selon vos processus internes et vos obligations légales).
• Les mesures de sécurité (sauvegardes, gestion des droits d'accès, authentification renforcée).
• Le responsable interne (la personne en charge du traitement dans votre entreprise).

Le niveau de précision doit rester adapté à votre réalité. Un registre trop abstrait s'avère inutile si vous devez justifier le fonctionnement de votre logiciel client ou les accès accordés à votre prestataire informatique.

3. Exemples concrets de lignes de registre

Les exemples suivants illustrent le niveau de détail attendu pour rendre un registre crédible. Il convient de les adapter à votre propre situation.

• Gestion clients et exécution des contrats. Finalités (facturation, suivi des commandes). Données (identité, coordonnées). Accès (service des ventes, comptabilité). Prestataires (logiciel de facturation, hébergeur). Sécurité (sauvegardes régulières, accès restreints).
• Prospection et communication. Finalités (envoi d'informations, analyse des campagnes). Données (adresses email, préférences). Accès (équipe marketing, direction). Points sensibles (preuve du consentement, gestion des désinscriptions).
• Ressources humaines. Finalités (gestion du personnel, versement des salaires). Données (informations contractuelles, coordonnées bancaires, absences). Accès (ressources humaines, fiduciaire). Sécurité (confidentialité des dossiers, processus stricts pour les nouveaux employés).
• Informatique et sécurité. Finalités (protection du réseau, gestion des accès). Données (identifiants, journaux de connexion). Accès (prestataire informatique). Point de cohérence (alignement avec vos règles internes de sécurité).

4. Erreurs fréquentes des modèles types

L'utilisation de modèles gratuits constitue souvent un piège pour les entreprises en Suisse romande. Voici les défauts les plus courants rencontrés dans ces documents.

• Finalités trop vagues qui compliquent toute justification ultérieure.
• Omissions de prestataires tels que les services cloud ou l'agence de communication.
• Transferts à l'étranger non déclarés alors que de nombreux logiciels stockent des données hors des frontières suisses.
• Durées de conservation inadaptées (conservation illimitée ou délais trop courts).
• Mesures de sécurité non vérifiables (comme la simple mention de données sécurisées sans explication concrète).
• Absence de mise à jour. Un registre devient faux dès que vous changez de logiciel ou de prestataire.

Le registre cartographie vos données. Une carte erronée vous expose à des difficultés lors d'une demande d'accès ou d'un audit.